Digital Forensics: scopriamo cos’è il Data Carving con un esempio pratico

Redazione RHC : 13 Ottobre 2022 08:00

Autore: Alessandro Molinari

Tramite gli strumenti specifici per le analisi forensi è possibile recuperare molti files che presumibilmente sono stati cancellati da un sistema informatico.

Il data carving tratta esattamente questo e se vogliamo veramente eliminare del tutto determinati files dobbiamo fare un ulteriore sforzo.

Lo strumento di “data carving” per eccellenza ( “intagliatore di dati” letteralmente ma per l’amore delle nostre orecchie evitiamo di tradurlo in Italiano), è Scalpel,  in grado di rilevare molti  file con diverse estensioni e formati.

CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Non importa con quale filesystem sia stato formattato il disco: Scalpel utilizza un database con headers e footers (di cui ogni file è dotato) utile per tracciarli.

Molte distribuzioni hanno nei loro repository versioni precedenti di Scalpel che svolgono bene il loro lavoro, ma non hanno tutte le funzionalità dell’attuale versione 2.0, come le regular expressions” per gli headers ed i footers, il multithreading, l’input/output asincroni o data-carving accelerata dalla GPU (solo se è installato l’SDK CUDA di NVidia).

Tuttavia se si desidera utilizzare queste funzionalità, è necessario compilare Scalpel dal codice sorgente.

In passato, i data carvers scansionavano i dischi alla ricerca di modelli di headers e footers e scrivevano tutti i risultati su un nuovo supporto, il che richiedeva molto spazio di archiviazione.

Scalpel, invece, si limita a controllare due volte il disco per mettere insieme tutte le informazioni necessarie.

La prima volta che si esegue Scalpel, cerca gli headers e memorizza i risultati in un database; quindi, identifica i footers (di cui ogni file è dotato). Nel fare ciò, Scalpel tiene sempre conto della logica  che un header è sempre seguito da un footer, accelerando così la ricerca.

A questo punto si dispone di un indice con le posizioni degli headers e dei footers, che costituisce la base per la seconda esecuzione. Di seguito Scalpel confronta gli headers ed i footers e scrive i file trovati direttamente in una nuova posizione dalla memoria, senza dover accedere nuovamente al disco.

Prima di iniziare la ricerca dei dati perduti, Scalpel legge il file di configurazione scalpel.conf 

Prima di iniziare il processo di ricerca, è opportuno effettuare alcune configurazioni che limitino la ricerca a un numero minimo di tipi e dimensioni di file.

Fonte: https://hackerhood.redhotcyber.com/data-carving/

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli